En 2026, l’AMF explore l’intégration de l’intelligence artificielle, de la cybersécurité et des enjeux géopolitiques dans la gouvernance des sociétés cotées

Les conseils d’administration sont désormais confrontés à une équation inédite : intégrer dans la gouvernance des sociétés cotées des risques technologiques et géopolitiques qui évoluent plus vite que les cycles stratégiques. L’AMF place au premier plan trois dimensions désormais incontournables pour les entreprises françaises : intelligence artificielle, cybersécurité et enjeux géopolitiques. Derrière ces termes, il ne s’agit pas seulement de conformité, mais de continuité d’activité, de réputation, de valorisation boursière et, in fine, de protection de l’épargne investie sur les marchés.

En annonçant un travail spécifique sur la manière dont les organes de direction appréhendent ces risques émergents, le régulateur envoie un signal clair : les investisseurs – particuliers comme professionnels – doivent scruter de plus près la façon dont les sociétés structurent leur intégration technologique et leurs dispositifs de gestion des risques. La qualité de la régulation financière, les pratiques de gouvernance et la transparence de l’information publique deviennent des éléments déterminants pour évaluer la solidité d’un émetteur, au même titre que ses résultats financiers ou son endettement. Cette évolution s’inscrit dans un mouvement plus large, déjà à l’œuvre dans les attentes de l’ESMA, de l’OCDE et des grandes autorités de marché, où l’innovation n’est plus dissociée de la robustesse des systèmes et des scénarios de crise.

• L’AMF met l’accent sur trois risques structurants pour les sociétés cotées : intelligence artificielle, cybersécurité et géopolitique.
• Les conseils d’administration et de surveillance sont au centre du jeu : organisation, compétences et supervision des dispositifs de gestion des risques seront scrutées.
• L’information publiée par les émetteurs sera analysée : contenu, clarté et qualité des disclosures sur ces risques émergents deviennent un enjeu pour les investisseurs.
• Des bonnes pratiques et recommandations pourront être mises en avant, influençant les codes de gouvernance et les attentes de marché.
• Les investisseurs disposent d’un nouvel angle d’analyse pour comparer les sociétés cotées, au-delà des seuls indicateurs financiers classiques.

Gouvernance des sociétés cotées : pourquoi IA, cybersécurité et géopolitique deviennent décisives

Les grandes crises récentes – pandémies, cyberattaques massives, tensions géopolitiques autour de l’énergie ou des données – ont montré à quel point des risques non financiers pouvaient se traduire en chocs boursiers. Pour un investisseur, comprendre comment une entreprise anticipe ces risques n’est plus un luxe, mais un élément central d’analyse.

En se concentrant sur l’intelligence artificielle, la cybersécurité et les enjeux géopolitiques, l’AMF cible trois domaines qui conditionnent désormais la résilience opérationnelle et la capacité d’exécution stratégique. Un groupe qui déploie largement l’IA sans garde-fous, qui externalise massivement ses données dans le cloud sans maîtrise contractuelle, ou qui dépend de chaînes d’approvisionnement situées dans des zones instables, expose directement ses résultats futurs et donc ses actionnaires.

Comment les conseils d’administration intègrent ces risques dans leur gouvernance

Le cœur du sujet réside dans la façon dont les conseils d’administration et de surveillance structurent leur travail autour de ces risques. Cela concerne leur composition (compétences technologiques, expérience cyber ou géopolitique), l’organisation des comités spécialisés, la fréquence de revue des risques et le type d’indicateurs présentés aux administrateurs.

Imaginons la société fictive “HexaTech”, cotée à Paris et très dépendante d’algorithmes de scoring de crédit. Son conseil a mis en place un comité “technologie et risques numériques” chargé de suivre les déploiements d’IA, de vérifier l’existence de politiques internes (données, biais, robustesse des modèles) et d’évaluer l’exposition aux cybermenaces. Ce dispositif, lorsqu’il est décrit de manière claire dans le rapport de gouvernance, devient une information précieuse pour l’investisseur qui cherche à mesurer le sérieux de la gestion des risques.

Pour les investisseurs, la question à se poser est simple : le conseil dispose-t-il réellement des moyens, du temps et des compétences pour challenger la direction sur ces sujets complexes, ou se contente-t-il d’une validation formelle ?

Intelligence artificielle : un levier d’innovation sous surveillance accrue

L’usage de l’intelligence artificielle dans la finance et dans les entreprises cotées est déjà massif, qu’il s’agisse d’algorithmes de trading, de scoring de risque, de détection de fraude ou d’outils d’aide à la décision stratégique. Les autorités, dont l’AMF, ont commencé à documenter ces usages, leurs bénéfices et leurs limites, notamment au travers de travaux spécifiques consacrés à l’intégration de l’IA dans les marchés financiers.

Pour un conseil d’administration, l’enjeu n’est pas d’arbitrer pour ou contre l’IA, mais de s’assurer que son utilisation est encadrée : gouvernance des modèles, qualité des données, gestion des biais, plans de secours en cas de défaillance. Sans cette prudence, une erreur d’algorithme ou une mauvaise interprétation d’un modèle prédictif peut conduire à des décisions d’investissement, de crédit ou de tarification très coûteuses.

Ce que les investisseurs peuvent attendre des sociétés cotées sur l’IA

Les investisseurs peuvent s’attendre à voir apparaître, dans l’information publique, des éléments plus détaillés sur la stratégie d’intégration technologique et sur le pilotage des projets d’IA. Il peut s’agir, par exemple, de :

• Descriptions des principaux cas d’usage de l’IA (front-office, middle-office, conformité, maintenance prédictive, etc.).
• Indications sur la gouvernance de l’IA : comités, chartes internes, validation des modèles critiques.
• Références aux risques identifiés : dépendance à certains fournisseurs, risques de biais, risques opérationnels.
• Interaction avec la régulation financière : conformité avec les cadres européens, prise en compte des attentes des autorités de marché.

Un investisseur qui compare deux émetteurs dans un même secteur pourra ainsi distinguer une approche structurée, documentée et suivie au niveau du conseil, d’une approche plus opportuniste et peu transparente. Dans un environnement où les erreurs technologiques peuvent rapidement devenir publiques, cette différence de maturité peut peser sur la perception du risque.

Cybersécurité : continuité d’activité et protection des données au cœur de la gouvernance

La cybersécurité est passée en quelques années d’un sujet “informatique” à un sujet de gouvernance à part entière. Une attaque réussie peut bloquer une chaîne de production, perturber des systèmes de paiement, exposer des données sensibles ou provoquer une interruption prolongée de services. Pour une société cotée, les conséquences incluent non seulement des coûts directs, mais aussi un risque de réputation et un impact sur le cours de bourse.

Les conseils d’administration sont désormais attendus sur plusieurs dimensions : revue régulière des plans de cybersécurité, compréhension des scénarios de crise, supervision des budgets dédiés, et capacité à interroger la direction sur l’état réel des systèmes. Les autorités de marché, à travers leurs rapports, mettent progressivement en avant les pratiques qui permettent d’éviter que la cybersécurité ne reste cantonnée au seul département IT.

Exemple de dispositif cyber supervisé par un conseil

Reprenons l’exemple d’“HexaTech”. Son conseil reçoit chaque trimestre une synthèse des incidents de sécurité, un tableau de bord de vulnérabilités majeures et un état d’avancement des projets de renforcement. Un exercice annuel de simulation de crise (“table-top”) est également organisé avec la participation d’administrateurs, afin de tester la coordination entre les équipes techniques, juridiques, communication et direction générale.

Ce type d’approche permet aux investisseurs de comprendre si l’entreprise est prête à gérer une attaque significative. Il complète les travaux plus larges menés sur le thème cybersécurité, IA et marchés financiers, qui mettent en évidence le rôle croissant de la résilience opérationnelle dans l’évaluation des risques.

L’idée clé est la suivante : plus la cybersécurité est traitée comme un risque stratégique au niveau du conseil, plus l’entreprise dispose de chances de limiter l’impact d’un incident majeur sur la valeur pour l’actionnaire.

Enjeux géopolitiques : dépendances critiques et chaînes d’approvisionnement sous tension

Les enjeux géopolitiques se traduisent de multiples façons dans le quotidien des sociétés cotées : sanctions internationales, restrictions à l’export, tensions commerciales, risques pays, instabilité réglementaire, ou encore contrôle de certaines technologies clés. Les chocs sur les matières premières, l’énergie, les semi-conducteurs ou les données ont montré que la diversification géographique apparente d’un groupe ne garantit pas toujours sa résilience.

Pour les conseils d’administration, la question est de savoir comment ces risques sont cartographiés, monitorés et intégrés dans la stratégie. Une entreprise très dépendante de fournisseurs ou de clients situés dans des zones sensibles doit expliquer comment elle anticipe d’éventuelles ruptures, ou comment elle se prépare à gérer des changements brusques de cadre réglementaire.

Dialogue actionnarial et transparence sur les risques géopolitiques

Les travaux internationaux, notamment au sein de l’OCDE, insistent de plus en plus sur le rôle des investisseurs dans le dialogue avec les sociétés sur ces sujets. Les actionnaires peuvent interroger les émetteurs sur leurs scénarios géopolitiques, leurs hypothèses de stress test, ou encore leur politique de diversification de fournisseurs.

Pour les investisseurs particuliers qui suivent l’actualité des marchés via des dossiers thématiques (défense, infrastructures, matières premières, data centers, etc.), ces dimensions sont essentielles. Elles complètent d’autres analyses sur, par exemple, les enjeux d’investissement liés à la défense européenne ou aux infrastructures critiques, où les risques géopolitiques et réglementaires sont particulièrement marqués.

Un investisseur avisé cherchera à repérer dans les rapports des sociétés cotées si les risques pays sont abordés de manière factuelle, chiffrée et reliée à la stratégie, ou s’ils sont évoqués de façon très générale, sans éléments exploitables.

Comment l’analyse de l’AMF peut faire évoluer les pratiques de marché

Le rapport annuel sur le gouvernement d’entreprise et la rémunération des dirigeants constitue depuis plusieurs années un point de repère pour les sociétés cotées, les investisseurs et les associations professionnelles. En se concentrant désormais sur l’intelligence artificielle, la cybersécurité et les enjeux géopolitiques, l’AMF étend ce rôle à des risques qui étaient jusqu’ici souvent traités de façon fragmentée.

Le régulateur analysera notamment comment les émetteurs décrivent ces sujets dans leur information publique : nature des risques, dispositifs de gestion, organisation de la gouvernance, éventuels indicateurs de suivi. Sur la base des constats, des recommandations et de bonnes pratiques pourront être mises en valeur, ce qui influence autant les codes de gouvernance que les attentes des marchés.

Une grille de lecture utile pour les investisseurs

Pour les investisseurs particuliers, ces travaux offrent une grille de lecture complémentaire à l’analyse classique des comptes et des perspectives sectorielles. Ils peuvent aider à identifier des signaux positifs (conseil impliqué, stratégie technologique encadrée, transparence sur les risques) ou des signaux d’alerte (faible information, dispositifs peu décrits, absence de vision sur des enjeux pourtant structurants).

Pour les professionnels, notamment les gérants et analystes, ces orientations nourrissent la réflexion sur leurs propres politiques d’engagement actionnarial et de vote en assemblée générale, dans la lignée de travaux déjà menés sur les stratégies de vote et la prise en compte des risques extra-financiers. Les évolutions de la régulation financière autour de ces thèmes renforcent l’idée que les risques technologiques et géopolitiques doivent être intégrés au même titre que les risques financiers classiques.

Pour les investisseurs, l’objectif n’est pas de reproduire le travail du régulateur, mais de s’appuyer sur ces repères pour structurer leur propre analyse. Les rapports de gouvernance, les documents de référence et les présentations investisseurs deviennent des sources centrales pour évaluer la maturité d’une entreprise face à ces risques.

FAQ – Questions fréquentes

Pourquoi l’AMF s’intéresse-t-elle aux risques liés à l’IA, à la cybersécurité et aux enjeux géopolitiques ?

Ces trois domaines sont désormais au cœur de la continuité d’activité, de la réputation et de la performance à long terme des sociétés cotées. Ils figurent dans la cartographie des risques du régulateur, qui souhaite analyser comment les conseils d’administration et de surveillance les intègrent dans leur gouvernance. L’objectif est d’identifier les pratiques existantes, de mettre en lumière les bonnes approches et, le cas échéant, de formuler des recommandations aux émetteurs et aux associations professionnelles.

Qu’est-ce que cela change concrètement pour un investisseur particulier ?

Pour un investisseur particulier, ces travaux offrent une nouvelle grille de lecture des sociétés cotées. Il devient pertinent de regarder comment l’entreprise décrit ses dispositifs de gestion des risques technologiques et géopolitiques, en complément des indicateurs financiers classiques. La qualité de l’information publiée sur l’IA, la cybersécurité et les risques pays peut servir d’indice de maturité et de sérieux dans la gouvernance, sans constituer pour autant un conseil personnalisé d’achat ou de vente.

Comment repérer si un conseil d’administration traite sérieusement ces risques ?

Plusieurs éléments peuvent être observés dans les rapports publics : présence ou non de comités spécialisés ou de compétences technologiques au sein du conseil, description des dispositifs de gouvernance de l’IA, indicateurs de cybersécurité suivis, scénarios géopolitiques évoqués, fréquence de revue des risques. Un traitement précis, documenté et relié à la stratégie de l’entreprise est généralement plus rassurant qu’une présentation très générale et peu détaillée.

Les analyses de l’AMF constituent-elles un conseil d’investissement ?

Les travaux de l’AMF et les analyses qui en découlent sont des informations générales, destinées à éclairer le fonctionnement des marchés et la gouvernance des sociétés. Ils ne constituent pas un conseil d’investissement personnalisé. Chaque investisseur doit tenir compte de sa situation propre, de ses objectifs et de sa tolérance au risque, éventuellement avec l’appui d’un professionnel, avant de prendre une décision.

Quel lien avec les autres évolutions de la régulation financière ?

L’accent mis sur l’IA, la cybersécurité et les enjeux géopolitiques s’inscrit dans un mouvement plus large de la régulation financière visant à mieux encadrer les innovations technologiques, les risques opérationnels et les facteurs extra-financiers. Les initiatives sur l’IA dans la finance, la résilience opérationnelle ou la transparence des produits financiers vont toutes dans le sens d’une meilleure protection de l’épargnant et d’une plus grande robustesse des marchés.

Source : AMF

Claire D.

Après plus de 15 ans d’expérience en veille et gestion documentaire pour divers organismes européens de régulation financière et places de marché. Experte des bases de données professionnelles et des flux réglementaires, elle surveille chaque jour les dernières actualités économiques et financières afin de vous tenir informé(e) de tout ce qui compte pour vos décisions d’investissement.